denoland/clawpatrol

解决的问题

提供专为 AI 代理设计的安全防火墙。通过在目标系统接收之前拦截并控制其网络流量，防止代理在生产环境中执行危险或未经授权的操作。

工作原理

Claw Patrol 作为代理（网关），在 wire 级别解析网络流量。它使用用 HCL（HashiCorp 配置语言）和 CEL 表达式编写的规则，评估某项操作是否应被允许、拒绝或暂停以等待人工审批。它可以作为独立网关、特定进程的隧道（在 Linux 上使用 netns 或在 macOS 上使用 NetworkExtension），或通过 WireGuard 部署为全主机隧道。

适用人群

需要与 Kubernetes、SQL 数据库（Postgres、ClickHouse）和 HTTP API 等生产基础设施交互的开发者和组织，这些场景需要严格的安全部署控制和安全策略。

主要亮点

• 支持 SQL 和 Kubernetes 等协议的 wire 级别流量解析。
• 使用 HCL 和 CEL 表达式进行基于规则的控制。
• 支持灵活的部署方式，包括进程级隧道和主机级路由。
• 支持对敏感操作进行人工介入审批。